Sonuç Getiren İç Denetim Önerileri Yapmak

Denetçiler süreçleri incelemeye, prosedürleri ve işlemleri analiz etmeye ve kontrol zayıflıklarını belirlemeye çok zaman ve enerji harcar; oysa kuruluşlara kattığımız gerçek değer denetim önerilerimizde yatar.

Yönetim, denetçilerin iş bilgisini ve kök neden analizi yapma yeteneğini geliştirerek riskleri azaltacak, verimliliği artıracak ve kısa ve uzun vadede iş hedefleriyle uyumlu süreç iyileştirmeleri önermesini bekler. İç denetim ekipleri, tespit edilen sorunlara yönelik önerilerin kapsamına da karar vermelidir. Yaklaşımlar; şirket kültürüne, risk iştahına, denetim grubunun olgunluğuna ve diğer faktörlere bağlı olarak “sadece düzeltin”den çok ayrıntılı bir adım listesi sunmaya kadar değişebilir.

Aşağıda, yönetime mesleğimizin danışmanlık yönünü en iyi gösteren tavsiyeler sunmak için bazı yaklaşımları ele alıyoruz.

1) Kök nedenleri belirleyin

Evet, bir bulgumuz var; ama sonrası? Düzeltilmesi kolay görünen bazı sorunların yüzeyin altında başka sorunlar gizleyebileceğini unutmamak gerekir. Örneğin “Raporda onay imzası yoktu” bulgusu kolayca çözülebilir; akla gelen ilk çözüm “imzalayın” olacaktır. Bu etkili bir çözüm sayılabilir, ancak kök neden belirlenmezse durumun tekrarlanma olasılığı yüksektir. Gerçek sorunun olası nedenleri şunlar olabilir:

• İmza sorumlusu olarak kimse atanmamıştır.
• Eskiden imza atan kişi ayrılmıştır.
• Kimin sorumlu olduğunu gösteren bir prosedür yoktur.
• Sorumluluk net değildir.
• Göreve öncelik atanmamıştır.

Bir başka örnek: “Manuel yevmiye kayıtları (MJE) bir süpervizör tarafından onaylanmamıştır.” Denetçi tüm gerçekleri toplamalı ve yazmalıdır. Bu örnekte şunlar söz konusu olabilir:

• Onayı zorunlu kılan resmi bir prosedür veya politika yoktur.
• Süpervizör görevden ayrılmıştır ve yerine yenisi atanmamıştır.
• Muhasebede MJE’yi talep eden ile onaylayan aynı kişidir.
• Yalnızca belirli MJE’lerin onaylanması gerekmektedir.

Denetlenenlerle yapılan görüşmeler ve süreç incelemeleri sayesinde denetçi, sorunları tetikleyen faktörleri belirleme ve kök nedene ulaşma konusunda ayrıcalıklı bir konumdadır. Kök neden belirlendikten sonra uyumun sağlanması için bunlar yönetimle tartışılmalıdır.

2) Bulguyu yazın

Bir iç denetçi kontrol zayıflığıyla karşılaştığında, durumu ve koşullarını yargılamadan gerçeklere odaklanmalıdır. İş hedeflerini ve risk iştahını göz önünde bulundurarak durumu ve süreç performansı üzerindeki etkisini değerlendirirken her zaman tarafsız kalmalıdır. Denetçi, topladığı bilgilere ve belirlediği gerçeklere dayanarak konuyu yazar. Örneğin: “Nüfusun %x’ini ve değerin %y’sini temsil eden xx MJE’lik bir örneklemden, yy MJE’nin ________ nedeniyle ilişkili resmi bir onayı olmadığı görüldü. MJE onay gözetimi ________ nedeniyle eksik kalmış olabilir.”

3) Öneride bulunun

Denetim önerileri, yönetim tarafından alınması gereken eylemleri vurgulayan yönlendirmelerden oluşur. Uygulandığında süreç riskleri azalmalı ve performans artmalıdır. Şirket kültürüne ve sorunun etkisine bağlı olarak öneriler az ya da çok ayrıntılı olabilir. Denetçiler, fazla basit olmakla yönetimin işini yapmaya çalışan aşırı ayrıntılı prosedürler vermek arasında bir denge bulmalıdır. Bulgunun önemi ve ciddiyeti de raporun tonunu etkiler. Örneğin: “Yönetim aşağıdaki işlemleri yapabilir / yapmalıdır…”

Öneri türleri, konuların önemine ve karmaşıklığına göre değişebilir. Şu kategoriler ayrılabilir:

• Doğrudan eylemler: Kök neden doğru tanımlandığında denetçi, ulaşılabilir somut eylemler önerebilir. Bazı durumlarda bunlar saha çalışması sırasında uygulanabilir ve raporda “ele alındı” olarak belirtilebilir. Örneğin: “Borç hesapları görevlisi, doğru kodlamanın kullanıldığından emin olmak için belirli ödeme türlerinin nasıl işleneceği konusunda eğitilmelidir.” Öneri çok spesifiktir; yine de araçlara ve zamanlamaya karar vermek yönetime aittir.
• Genel öneriler: Bir sorunun çözümüne birden fazla iş grubunun dahil olduğu durumlarda eylemleri tanımlamak ortak çaba gerektirir. Denetçi yön gösterebilir, ancak ayrıntılı bir eylem planı sunamayabilir. Örneğin: “Yöneticiler, uygun kullanıcı profillerinin sürdürülmesi için organizasyonlarındaki değişiklikleri eş zamanlı olarak İK ve BT’ye bildirmelidir. Bunun gerçekleşmesi için resmi bir prosedür tanımlanmalıdır.” Burada denetçi seçenekleri açık bırakır, ancak asgari gereklilikler belirlenir.
• Ayrıntılı öneriler: Örgüt kültürü bir öğrenme eğrisi aşamasındaysa ve iç denetçi denetlenen süreçte konu uzmanı seviyesindeyse özel bir öneri sunulabilir. Örneğin: “Ertelenmiş gelir yönetimi ve ayırmaya ilişkin bir prosedür tanımlanmalıdır. Prosedür tüm ilgili paydaşlarca resmen onaylanmalı, süreçte yer alan herkese eğitim verilmeli ve yeni finans çalışanları için işe alım eğitiminin parçası haline getirilmelidir. Uyumu göstermek için eğitim kayıtları dosyada tutulmalıdır.”

4) Yönetim eylem planları (YEP)

Ardından çabaları paydaşlarla koordine edin. Denetçi, silolar arasındaki engelleri aşmak ve zayıf iletişim, formalite eksikliği, tanımsız sorumluluk, kaynak yetersizliği, yetersiz görev ayrımı ve fazlalıklar gibi nedenlerle bozulan süreçleri belirlemek için benzersiz bir konumdadır. İç danışman olarak denetçi, yönetimin bu durumları fark etmesini desteklemenin yanı sıra süreç iyileştirme zihniyetiyle bir değişim temsilcisidir. Denetimin başından itibaren denetlenen kurum için, inceleme görevlilerinin kendileriyle aynı ekipte olduğu ve genel amacın paydaşların şirket performansına ilişkin rahatlık düzeyini artırmak olduğu açık olmalıdır.

Yönetim denetim raporunu aldığında, bulguları ele alacak bir eylemler dizisi sunmakla yükümlüdür. Bunlar genellikle Yönetim Eylem Planları (YEP) olarak bilinir. YEP’ler yönetimin sorumluluğunda olsa da çoğunlukla iç denetimin girdisine başvurulur. Denetlenenlere SMART metodolojisini izlemelerini öneririm:

• S – Spesifik: Mümkün olduğunca belirsizlikten kaçınılmalıdır. “Personel eğitilecek” yerine “Tedarik personeli şu prosedürlerde eğitilecek” demek daha spesifiktir.
• M – Ölçülebilir: Ölçülemeyen bir süreç yönetilemez. Örneğin: “Haziran ayına kadar tedarik personelinin yüzde 80’i bu prosedürler konusunda eğitim alacak; Aralık ayına kadar yeni çalışanlar dahil tüm personel eğitimi tamamlayacak.”
• A – Ulaşılabilir: Her eylem planı maddesi grup ve tüm organizasyon için ulaşılabilir olmalıdır. “Tüm manuel yevmiye kayıtları bir süpervizör tarafından incelenip onaylanacak” ifadesine uymak, orta ölçekli bir şirkette hacim nedeniyle yalnızca bu iş için bir pozisyon yaratmayı gerektirebilir. “Şirketin tanımladığı eşiğin üzerindeki tüm kayıtlar süpervizör tarafından incelenip onaylanacak” ise riski ele alan ve makul çabayla gerçekleştirilebilecek bir eylemdir.
• R – Alakalı: Eylem planı maddesinin genel iş hedefleriyle uyumlu olup olmadığını değerlendirin. Örneğin “Tüm kara para aklamayı önleme prosedürleri tüm banka personelinin kullanımına sunulacak” ifadesi, bazı prosedürler bireysel bankacılıktan çok özel bankacılık için geçerli olabileceğinden o kadar etkili olmayabilir.
• T – Zamana bağlı: Eylemler belirli bir zaman diliminde gerçekleştirilmelidir; aksi halde yürütülmeme ihtimalleri yüksektir. Yürütme zamanı takip sürecinde gerektiği gibi revize edilmelidir. YEP’ler belirli tarihler içerebilir; yaklaşık değerler ve aralıklar da kabul edilebilir. Örneğin: “Eylemler ikinci çeyreğe kadar uygulanacak.”

Bu tanımları akılda tutmak, denetçinin sonradan etkinlik açısından doğrulanabilecek YEP’lerin oluşturulmasında yönetime destek olmasını sağlar.

5) Takip

İç denetçinin rolü, denetim raporunun teslimiyle sona ermez. YEP’lerde belirlenen süre geçtikten sonra denetçi, taahhüt edilen eylemlerin uygulandığını ve belirlenen riskleri ele aldığını doğrulamalıdır. Denetim döngüsü ancak o zaman tamamlanır. Takip sürecini ihmal etmeyin.

Bu adımları izlemek, denetim sırasında belirlenen her sorunun sihirli biçimde çözüleceğini garanti etmeyebilir; ancak iç denetimin yönetime sunduğu tavsiyelerin kalitesini artırır. İç denetimin sorunları işaret edip çekip gitmesi yeterli değildir. Kuruluşta gerçek değer sağlamak için iç denetim, çözümler konusunda tavsiyede bulunmada ve iyileştirmeye yönelik zorlu çalışmanın tamamlanmasını sağlamada hayati rol oynayabilir. Daha iyi denetim önerileri, bu hedeflere ulaşmada uzun bir yol kat ettirir.

Bu yazı, iç denetçiler için bir öğrenme ve işbirliği platformu olan Audiopia’nın topluluk üyesi Hector Garcia’nın Internal Audit 360’ta yayımlanan “Making Internal Audit Recommendations That Get Results” başlıklı makalesinin Türkçe uyarlamasıdır. Kaynak: https://internalaudit360.com/making-internal-audit-recommendations-that-get-results/